彻底理解Session、Cookie、Token，入门及实战

文章目录

  • Session + Cookie的使用
  • Token的使用

Session + Cookie的使用

1. Session存储数据

HttpSession session = request.getSession();			//Servlet底层通过的SESSIONID，获取Session对象。
session.setAttribute("loginTime",new Date());
out.println("登录时间为："+(Date) session.getAttribute("loginTime"));

- void setAttribute（String attribute，Object value）：			设置Session属性。value信息不宜过大
- String getAttribute（String attribute）：						返回Session属性
- Enumeration getAttributeNames（）：							返回Session中存在的属性名
- void removeAttribute（String attribute）：					移除Session属性
- String getId（）：											返回Session的ID
- long getCreationTime（）：									返回Session的创建日期
- long getLastAccessedTime（）：								返回Session的最后活跃时间
- int getMaxInactiveInterval（）：								返回Session的超时时间
- int setMaxInactiveInterval（int second）：					设置Session的超时时间
- boolean isNew（）：											返回该Session是否新创建的
- void invalidate（）：											使Session失效

2. Cookie存储数据

Cookie cookie = new Cookie("username","helloweenvsfei");   // 新建Cookie
cookie.setMaxAge(0);                          // 设置生命周期为0，不能为负数
response.addCookie(cookie);                    // 必须执行这一句

在这里插入图片描述

3. Session + Cookie 的区别

  • 生存周期：Session从IE启动到IE关闭.，Cookie是用户可以预先设置的生存周期。
  • 存储地方：Session数据放在服务器上，Cookie数据存放在客户的浏览器中

4. Session + Cookie的配合使用
我们知道了 Cookie 由于存储的内存空间只有 4kb，因此存储的主要是一个用户 id，其他的用户信息都存储在服务器的 Session

  1. 服务器接收到请求后，通过request.getSession()方法创建会话对象。此方法第一次调用是创建session会话，以后在session没有被销毁前，再次调用都是获取前面创建的session。
  2. 服务器在每次创建session的时候，也会创建cookie，这个cookie的key永远是JESSIONID。value是创建的session的id。
  3. 通过响应将新创建的session的id，放在cookie里，传给浏览器。Set-Cookie:JESSIONID=XXX
  4. 浏览器解析获取到的数据，就马上创建一个cookie对象。有了cookie之后，再次请求服务器，就会把含有session的id的cookie，传给服务器Cookie:JESSIONID=XXX
  5. 服务器通过request.getSession方法，通过cookie里面的session的id，找到之前创建好的session对象，返回相应的数据。

在这里插入图片描述

Token的使用

1. Token出现原因
通过Session + Cookies将数据存储在服务器中，当用户数量急剧时，服务器需要耗费大量的sessionId。这显然对服务器说是一个巨大的开销，这就使用到了Token。

2. Token的结构
头部（header）
Token头部承载两部分信息：声明类型、声明加密算法

{ 
"typ": "JWT",
"alg": "HS256"
}

然后将头部进行base64加密（该加密是可以对称解密的),构成了第一部分

eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9

载荷（payload）
有效信息包含三个部分：标准中注册的声明、公共的声明、私有的声明。

1. 标准中注册的声明 (建议但不强制使用)

  • iss: jwt签发者
  • sub: jwt所面向的用户
  • aud: 接收jwt的一方
  • exp: jwt的过期时间，这个过期时间必须要大于签发时间
  • nbf: 定义在什么时间之前，该jwt都是不可用的.
  • iat: jwt的签发时间
  • jti: jwt的唯一身份标识，主要用来作为一次性token,从而回避重放攻击。

2. 公共的声明

  • 公共的声明可以添加任何的信息，一般添加用户的相关信息或其他业务需要的必要信息.但不建议添加敏感信息，因为该部分在客户端可解密

3. 私有的声明

  • 私有声明是提供者和消费者所共同定义的声明，一般不建议存放敏感信息，因为base64是对称解密的，意味着该部分信息可以归类为明文信息。

定义一个payload

{    
"uid":"e12a34b56c78d9e0f",
"name":"ramostear",
"role":"admin"
}

然后将其进行base64加密

eyJvcmciOiLku4rml6XlpLTmnaEiLCJuYW1lIjoiRnJlZeeggeWGnCIsImV4cCI6MTUxNDM1NjEwMywiaWF0IjoxNTE0MzU2MDQzLCJhZ2UiOiIyOCJ9

签证（signature）
这个部分需要base64加密后的header和base64加密后的payload，连接组成的字符串，然后通过header中声明的加密方式进行secret密钥组合加密，然后就构成了第三部分：

49UF72vSkj-sA4aHHiYN5eoZ9Nb4w5Vb45PsLF7x_NY

3. Token如何生成
Token怎么制作呢

  1. 将荷载payload，Header信息进行Base64加密，形成payload密文，header密文。
  2. 将形成的密文用句号链接起来，用服务端秘钥进行HS256加密，生成签名.
  3. 将前面的两个密文后面用句号链接签名形成最终的token返回给服务端
    在这里插入图片描述
    服务器如何检验
  1. 服务端使用原来的秘钥与密文(header密文+“.”+payload密文)同样进行HS256运算，然后用生成的签名与token携带的签名进行对比，若一致说明token合法，不一致说明原文被修改。
  2. 判断是否过期，客户端通过用Base64解密第二部分（payload密文），可以知道荷载中授权时间，以及有效期。通过这个与当前时间对比发现token是否过期。

4. Token的C/S交互

  1. 客户端使用用户名跟密码请求登录
  2. 服务端收到请求，去验证用户名与密码
  3. 验证成功后，服务端会签发一个 Token，再把这个 Token 发送给客户端，客户端收到 Token 以后可以把它存储起来，比如放在 Cookie 里或者 Local Storage
  4. 客户端每次向服务端请求资源的时候需要带着服务端签发的 Token，服务端收到请求，然后去验证客户端请求里面带着的 Token，如果验证成功，就向客户端返回请求的数据
  5. APP登录的时候发送加密的用户名和密码到服务器，服务器验证用户名和密码，如果成功，以某种方式比如随机生成32位的字符串作为token，存储到服务器中，并返回token到APP，以后APP请求时，凡是需要验证的地方都要带上该token，然后服务器端验证token，成功返回所需要的结果，失败返回错误信息，让他重新登录。其中服务器上token设置一个有效期，每次APP请求的时候都验证token和有效期。

5. Token与Cookie的区别

  • 内存空间：Cookie 由于存储的内存空间只有 4kb，因此存储的主要是一个用户 id，其他的用户信息都存储在服务器的 Session 中，而 Token 没有内存限制，用户信息可以存储 Token 中，返回给用户自行存储，因此可以看出，采用 Cookie 的话，由于所有用户都需要在服务器的 Session 中存储相对应的用户信息，所以如果用户量非常大，这对于服务器来说，将是非常大的性能压力，而Token 将用户信息返回给客户端各自存储，也就完全避开这个问题了。

6. Token与Cookie的联系
客户端将Token存储到Cookie中，可以设置token的有效时间

7. Token的定制化生成
生成Token
主要是填充载荷部分

// 生成token方法
public String generateToken(Map<String, Object> claims) { 
	return
		Jwts
		.builder()
		.setClaims(claims)		//设置载荷
		.setExpiration(generateExpirationDate())	//设置过期时间
		.signWith(SignatureAlgorithm.forName(alg), secret)	//设置签名
		.compact();
}

获取Token

/** * 获得token内的内容 * @param token * @return */
public Claims getClaimsFromToken(String token) { 
	try { 
		Claims claims = 
			Jwts
			.parser()
			.setSigningKey(secret)
			.parseClaimsJws(token)
			.getBody();
	} catch (Exception e) { 
		claims = new DefaultClaims();
		log.warn("{}", e.getMessage(), e);
		}
	return claims;
}

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.mfbz.cn/a/1063.html

如若内容造成侵权/违法违规/事实不符，请联系我们进行投诉反馈qq邮箱809451989@qq.com，一经查实，立即删除！

相关文章

【算法基础】数据结构| 单链表+双链表 代码实现+图解+原理

【算法基础】数据结构| 单链表+双链表 代码实现+图解+原理

博主简介&#xff1a;努力学习的预备程序媛一枚~博主主页&#xff1a; 是瑶瑶子啦所属专栏: Java岛冒险记【从小白到大佬之路】 前言 因为瑶瑶子正在备战蓝桥杯和校内ACM选拔赛&#xff0c;最近在学习算法相关的知识。我是借助AcWing网站来学习的&#xff0c;这篇文章是我学习…
阅读更多...
1.3 K8S入门之组件说明

1.3 K8S入门之组件说明

Borg K8S起源于Borg系统三种请求来源&#xff1a; borgcfgCLTWEB browsersBorgMaster: 负责请求的分发Borglet: 工人sheduler&#xff1a;包工头 和Persist store交互&#xff0c;不直接和Borglet交互Borglet监听Persist store K8S CS结构 Master服务器Node节点 Replicat…
阅读更多...
行业洞察丨PDF图纸为什么影响生产企业的生产质量？订单交期？

行业洞察丨PDF图纸为什么影响生产企业的生产质量？订单交期？

随着现代社会科技的发展&#xff0c;在全球激烈的市场竞争下&#xff0c;国内企业基于质量和成本的竞争已经日益转化为基于时间的竞争&#xff0c;如何快速响应瞬息万变的市场需求&#xff0c;更快完成生产订单交付&#xff1f;这已成为生产型企业面临的一大痛点。 承接市场客户…
阅读更多...
python搭建web服务器

python搭建web服务器

前言&#xff1a;相信看到这篇文章的小伙伴都或多或少有一些编程基础&#xff0c;懂得一些linux的基本命令了吧&#xff0c;本篇文章将带领大家服务器如何部署一个使用django框架开发的一个网站进行云服务器端的部署。 文章使用到的的工具 Python&#xff1a;一种编程语言&…
阅读更多...
用 DolphinDB 和 Python Celery 搭建一个高性能因子计算平台

用 DolphinDB 和 Python Celery 搭建一个高性能因子计算平台

因子挖掘是量化金融研究和交易的核心工作。传统的开发流程中&#xff0c;通常使用 Python 从关系型数据库&#xff08;如 SqlServer, Oracle 等&#xff09;读取数据&#xff0c;在 Python 中进行因子计算。随着证券交易规模不断扩大以及交易数据量的激增&#xff0c;用户对因子…
阅读更多...
QT VTK开发 (一、下载编译)

QT VTK开发 (一、下载编译)

Vtk&#xff0c;&#xff08;visualization toolkit&#xff09;是一个开源的免费软件系统&#xff0c;主要用于三维计算机图形学、图像处理和可视化。Vtk是在面向对象原理的基础上设计和实现的&#xff0c;它的内核是用C构建的&#xff0c;包含有大约250,000行代码&#xff0c…
阅读更多...
计算机组成原理实验一（完整）

计算机组成原理实验一（完整）

在VC中使用调试功能将下列语句运行的内存存放结果截图&#xff0c;每运行一句需截图一次。 #include<stdio.h> int main() {int a 你的学号末两位-100; //0x&#xff1f;&#xff1f;&#xff1f;&#xff1f;&#xff1f;&#xff1f;&#xff1f;&#xff1f;&#x…
阅读更多...
关于Anaconda的下载和安装方法及报错说明

关于Anaconda的下载和安装方法及报错说明

初学者接触python时&#xff0c;常会因各种环境问题、各种包的安装问题而苦恼&#xff0c;Anaconda则可以解决这一切繁琐的问题&#xff0c;但很多人不知道如何下载安装配置&#xff0c;本文详细讲述下载和安装配置过程&#xff0c;也汇总常见安装过程中的错误&#xff08;零基…
阅读更多...
【3】核心易中期刊推荐——人工智能计算机仿真

【3】核心易中期刊推荐——人工智能计算机仿真

🚀🚀🚀NEW！！！核心易中期刊推荐栏目来啦 ~ 📚🍀 核心期刊在国内的应用范围非常广，核心期刊发表论文是国内很多作者晋升的硬性要求，并且在国内属于顶尖论文发表，具有很高的学术价值。在中文核心目录体系中，权威代表有CSSCI、CSCD和北大核心。其中，中文期刊的数…
阅读更多...
【Kubernetes】第二十八篇 - 实现自动构建部署

【Kubernetes】第二十八篇 - 实现自动构建部署

一&#xff0c;前言 上一篇&#xff0c;介绍了 Deployment、Service 的创建&#xff0c;完成了前端项目的构建部署&#xff1b; 希望实现&#xff1a;推送代码 -> 自动构建部署-> k8s 滚动更新&#xff1b; 本篇&#xff0c;实现自动构建部署 二&#xff0c;推送触发构…
阅读更多...
28个案例问题分析---15---登陆之后我加入的课程调用接口报错--ArrayList线程不安全。占用内存情况

28个案例问题分析---15---登陆之后我加入的课程调用接口报错--ArrayList线程不安全。占用内存情况

ArrayList线程不安全。占用内存情况故事背景方案&思路解决线程不安全的问题方案一&#xff1a;在这两个方法之前添加 synchronized 关键字。方案二&#xff1a;使用ThreadLocal变量。解决重复创建对象问题。总结&升华故事背景 存入redis的值&#xff0c;可能会出现错误…
阅读更多...
黑马《数据结构与算法2023版》正式发布

黑马《数据结构与算法2023版》正式发布

有人的地方就有江湖。 在“程序开发”的江湖之中&#xff0c;各种技术流派风起云涌&#xff0c;变幻莫测&#xff0c;每一位IT侠客&#xff0c;对“技术秘籍”的追求和探索也从未停止过。 要论开发技术哪家强&#xff0c;可谓众说纷纭。但长久以来&#xff0c;确有一技&#…
阅读更多...
实用调试技巧【详细介绍】

实用调试技巧【详细介绍】

实用调试技巧1. 什么是bug&#xff1f;2. 调试是什么&#xff1f;有多重要&#xff1f;2.1 调试是什么&#xff1f;2.2 调试的基本步骤2.3 Debug和Release的介绍3. Windows环境调试介绍3.1 调试环境的准备3.2 学会快捷键3.3 调试的时候查看程序当前信息3.3.1 查看临时变量的值3…
阅读更多...
Java中的异常

Java中的异常

程序错误一般分为三种&#xff1a;编译错误&#xff1a; 编写程序时没有遵循语法规则&#xff0c;编译程序能够自己发现错误并提示位置和原因。运行错误&#xff1a;程序在执行的时候运行环境发现了不能执行的操作。比如&#xff0c;JVM出错了&#xff0c;内存溢出等。逻辑错误…
阅读更多...
Docker常用项目实战演练

Docker常用项目实战演练

docker镜像源的修改 linux环境下编辑 /etc/docker/daemon.json vi /etc/docker/daemon.json #如添加如下网易镜像源 { "registry-mirrors": ["http://hub-mirror.c.163.com"] }docker run命令详细解释 日常工作中用的比较多的是docker run命令&#xff…
阅读更多...
2023年目标检测毕业设计(yolov5车辆识别、车辆检测、车牌识别、行人识别)

2023年目标检测毕业设计(yolov5车辆识别、车辆检测、车牌识别、行人识别)

车辆识别视频yolov5车辆识别视频yolov5 yoloR对比行人车辆识别视频yolov8识别视频订阅专栏获得源码:http://t.csdn.cn/zsG47 ​​​​​​​先看一下yolo发展史 二、单目测距原理 图中有一个车辆&#xff0c;且车辆在地面上&#xff0c;其接地点Q必定在地面上。那么Q点的深度便…
阅读更多...
少儿Python每日一题（23）：楼梯问题

少儿Python每日一题（23）：楼梯问题

原题解答 本次的题目如下所示&#xff1a; 楼梯有n阶台阶&#xff0c;上楼可以一步上1阶&#xff0c;也可以一步上2阶&#xff0c;走完n阶台阶共有多少种不同的走法&#xff1f; 输入格式&#xff1a; 输入楼梯的阶梯数n 输出格式&#xff1a; 输出不同走法的个数 输入样例&am…
阅读更多...
Unity学习日记12（导航走路相关、动作完成度返回参数）

Unity学习日记12（导航走路相关、动作完成度返回参数）

目录 动作的曲线与函数 创建遮罩 导航走路 设置导航网格权重 动作的曲线与函数 执行动作&#xff0c;根据动作完成度返回参数。 函数&#xff0c;在代码内执行同名函数即可调用。在执行关键帧时调用。 创建遮罩 绿色为可效用位置 将其运用到Animator上的遮罩&#xff0c;可…
阅读更多...
嵌入式学习笔记——STM32寄存器编程实现外部中断

嵌入式学习笔记——STM32寄存器编程实现外部中断

外部中断前言EXTI的介绍EXTI是什么EXTI的主要特性数量对应中断源的命名EXTI的框图配置流程寄存器介绍编程思路编程效果前言 上一篇中&#xff0c;介绍了关于STM32的中断管理以及具体配置&#xff0c;本文就使用之前的配置流程来实现一下外部中断的功能。 EXTI的介绍 EXTI是什…
阅读更多...
SDIO读写SD卡速度有多快？

SDIO读写SD卡速度有多快？

前两天测试了SPI方式读写SD卡的速度《SPI方式读写SD卡速度测试》&#xff0c;今天来测试一下SDIO方式的读写速度。测试条件&#xff1a;单片机&#xff1a;STM32F407VET6编译环境&#xff1a;MDK 5.30HAL库SD卡&#xff1a;闪迪32GB/64GB TF卡文件系统&#xff1a;FatFS R0.12c…
阅读更多...
最新文章

Copyright @ 2022~2023